スキップしてメイン コンテンツに移動

ドイツの国家情報セキュリティ計画と情報社会の脆弱性対策の概要

 

　
　Last Updated: March 16,2021

なお、本ブログをgooで読みも込もうとすると一部URLはドイツ連邦情報機関等からアクセス(リンク)拒否になる。原因は不明であるが、筆者は同じ原稿をWordpressも投稿しているので、そちらで閲覧してほしい。

　ドイツ政府(内務省)は、2005年7月に「ITインフラストラクチャー保護に関する国家計画(Nationaler Plan zum Schutz der Informationsinfrastrukturen：NPSI)」 を採択・公表した。またコンピュータウィルスなど増加するIT脅威に対処するため、英米に倣い緊急コンピュータ緊急対応センターを設置することを決定した（米国では「連邦コンピュータ緊急準備チーム」の週間速報や国土安全保障省のオープンソース基盤報告（日刊）、英国ではITsafe(随時発刊）がある。これらの内容については機会を改めて詳しく説明する）。

　オットー・ゲオルグ・シリー(Otto Georg Schily)内相は「同国のITセキュリティ計画の一部をなすもので、他の先進国と同様、公的・民間部門へのIT攻撃への取組みといえる。世界全体で7,300といわれた新たなウイルスやワーム数が2004年後半では前年同期比で４倍となっており、フィッシング攻撃による損害は世界全体で25億ユーロ（約3,350億円）と見積もられている」と述べている。

Otto Georg Schily氏

　ドイツの同計画は、EU加盟国における初めてのものとされ、① 予防的（注）な観点（Prävention）からの情報ネットワーク被害の防止、②ITの安全性にかかる事件への有効な対応（Reaktion）、③国内の専門家育成と国際的な標準化への対応を通じた持続性（Nachhaltigkeit）確保を柱とするものである。同計画書は全25頁というもので内容的には基本計画書に近いものといえよう。しかし、8月28日(2010年10月8日改訂版)のブログで説明したとおり、BSIを中核とした具体的な取組みは今後急速に展開することも予想され、またEU加盟国は情報システムの抱える複雑性、事故、事件、錯誤、物理的な基盤への攻撃、さらに昨今問題視されている機密保護違反などについて「欧州ネットワーク・情報セキュリティ委員会 ：European Information Security Agency：ENISA」を2004年3月に設置しており、それとの協調なども視野に入れている。

（注）EUは共通して情報セキュリティに関し「予防原則」に基づくリスクマネジメントを重要視している。この点については、藤岡典夫「EUの予防原則-GMO規制等に見る現状」(全11頁)が詳しい。EUの考えすなわちITなど科学の進歩と反面の社会的なリスク回避について配慮するという考え方はわが国の国家政策を考えるうえでも極めて参考になろう。

今回は、計画書の主たる部分を占めるドイツの情報セキュリティ戦略目標を紹介する。

１．情報基盤に対する適切な予防的対応について
目標１：ITの利用におけるリスク意識の鋭敏化
目標２：IT製品やサービスの安全な使用
目標３：機密性（個人情報なども含む）の保持
目標４：国家全体としての保護対策の保障
目標５：ITシステムの枠組みおよび方針に関する基準の策定
目標６：国家安全保障会議（Sichrheitsstrategien）との調整
目標７：国内および国際機関（ENISA,NATO,OECD.UNなど）を通じた政治的意見の形成

２．ITの安全性を脅かす事件への対応について
目標８：各種事件の識別、理解、評価
目標９：IT事件に関する警告の発信
目標１０：ITの安全性に関する事件の登録

３．継続性：ドイツにおけるIT安全性要素の強化―国際的な標準化の重視について
目標１１：信頼性の高い情報技術への支援
目標１２：国家ITの各種構成要素の強化
目標１３：IT 要素の保護と教育
目標１４：研究・開発に対する助成
目標１５：国際的な協調の拡大と標準化

**********************************************************

（今回のブログは2005年8月30日登録分の改訂版である)
　　　　　　　　　　　　　　　　　　　　　　　　　　　　
Copyright © 2005-2010 芦田勝(Masaru Ashida)．All Rights Reserved．No reduction or republication without permission．

コメント

コメントを投稿

このブログの人気の投稿

ウクライナ共同捜査チームの国家当局が米国司法省との了解覚書(MoU)に署名：このMoU は、JIT 加盟国と米国の間のそれぞれの調査と起訴における調整を正式化、促進させる

  欧州司法協力機構(Eurojust) がウクライナを支援する共同捜査チーム (Ukraine joint investigation team : JIT) に参加している 7 か国の国家当局は、ウクライナで犯された疑いのある中核的な国際犯罪について、米国司法省との間で了解覚書 (以下､MoU) に署名した。この MoU は、ウクライナでの戦争に関連するそれぞれの調査において、JIT パートナー国と米国当局との間の調整を強化する。 　このMoU は 3 月 3 日(金)に、7 つの JIT パートナー国の検察当局のハイレベル代表者と米国連邦司法長官メリック B. ガーランド(Merrick B. Garland)によって署名された。 　筆者は 2022年9月23日のブログ 「ロシア連邦のウクライナ軍事進攻にかかる各国の制裁の内容、国際機関やEU機関の取組等から見た有効性を検証する！(その3完)」の中で国際刑事裁判所 (ICC)の主任検察官、Karim A.A. Khan QC氏 の声明内容等を紹介した。  以下で Eurojustのリリース文 を補足しながら仮訳する。 President Volodymyr Zelenskiy and ICC Prosecutor Karim A. A. Khan QC(ロイター通信から引用) １．ウクライナでのJITメンバーと米国が覚書に署名  (ウクライナ)のICC検事総長室内の模様；MoU署名時 　 中央が米国ガーランド司法長官、右手がICCの主任検察官、Karim A.A. Khan QC氏 　MoUの調印について、 Eurojust のラディスラフ・ハムラン(Ladislav Hamran)執行委員会・委員長 は次のように述べている。我々は野心のために団結する一方で、努力においても協調する必要がある。それこそまさに、この覚書が私たちの達成に役立つものである。JIT パートナー国と米国は、協力の恩恵を十分に享受するために、Eurojustの継続的な支援に頼ることができる。 　米国司法長官のメリック B. ガーランド(Merrick B. Garland)氏は「米国が 7 つの JIT メンバー国全員と覚書に署名する最初の国になることを嬉しく思う。この歴史的な了解覚書は...
コメントを投稿
続きを読む

米国連邦取引委員会(FTC)が健康製品に関する新しい拡大コンプライアンスガイダンスを発行

  　2022年12月20日、米国連邦取引委員会(以下、FTCという)は、以前の 1998年のガイダンスである栄養補助食品:業界向け広告ガイド(全32頁) を改定および置き換える 健康製品等コンプライアンスガイダンス の発行を 発表 した。 Libbie Canter氏 Laura Kim氏 　筆者の手元に Covington & Burling LLPの解説記事 が届いた。筆者はLibbie Canter氏、Laura Kim氏他である。日頃、わが国の各種メディア、SNS、 チラシ等健康製品に関する広告があふれている一方で、わが国の広告規制は一体どうなっているかと疑うことが多い。 　FTCの対応は、時宜を得たものであり、取り急ぎ補足を加え、 解説記事 を仮訳して紹介するものである。 １．改定健康製品コンプライアンスガイダンスの意義 　FTCは、ガイドの基本的な内容はほとんど変更されていないと述べているが、このガイダンスは、以前のガイダンスの範囲につき栄養補助食品を超えて拡大し、食品、市販薬、デバイス、健康アプリ、診断テストなど、すべての健康関連製品に関する主張を広く含めている。今回改定されたガイダンスでは、1998年以降にFTCが提起した多数の法執行措置から引き出された「主要なコンプライアンス・ポイント」を強調し、① 広告側の主張の解釈、②立証 、 その他の広告問題 などのトピックに関連する関連する例について具体的に説明している。 (1) 広告側の主張の特定と広告の意味の解釈 　改定されたガイダンスでは、まず、広告主の明示的主張と黙示的主張の違いを含め、主張の識別方法と解釈方法について説明する。改定ガイダンスでは、広告の言い回しとコンテキストが、製品が病気の治療に有益であることを暗示する可能性があることを強調しており、広告に病気への明示的な言及が含まれていない場合でも、広告主は有能で信頼できる科学的証拠で暗黙の主張を立証できる必要がある。 　さらに、改定されたガイダンスでは、広告主が適格な情報を開示することが予想される場合の例が示されている(商品が人口のごく一部をターゲットにしている場合や、潜在的に深刻なリスクが含まれている場合など)。 　欺瞞やだましを避けるために適格な情報が必要な場合、改定されたガイダンスには、その適格...
コメントを投稿
続きを読む

英国のデータ保護法案：提案された改正案の概要(その２完)

  　[Part Ⅱ]  英国データ保護法案:主要条項の検討 この記事 では、パートⅠにもとづき、法案の特定の重要な条項をさらに深く掘り下げる。 (1) 匿名化と「個人データ」:範囲の確認 　この法案は、情報が「識別可能な生存する個人」に関連しているため、主に2つのケースで「個人データ」を構成することを提案している。 (A)生存する個人が処理時に合理的な手段によって管理者または処理者によって識別可能である場合。 (B)管理者または処理者が、(a)処理の結果として他の人が情報を取得する、または取得する可能性が高いことを知っている、または知るべきである場合。 (b)生きている個人は、処理時に合理的な手段によってその人によって識別可能であるか、またはその可能性が高い。 　特に、この法案は、処理時にデータが個人データであるかどうかの合理性と評価を非常に重視しており、特にデータを匿名化しようとする際に、組織・事業体にとって有用であることが証明される可能性がある。EU GDPRは、注目度の高いケースを通じて開発された識別可能性と匿名化のための高い「しきい値」を設定している(詳細については、2016年CJEUのBreyerの決定に関するこのレイサム・アンド・ワトキンス法律事務所の ブログ記事“Anonymous or Not: Court of Justice Issues Ruling on IP Addresses” (筆者注7) を参照されたい)。法案の提案は、英国政府が専門家諮問結果「データ:新しい方向」(諮問書)で取った立場、すなわち政府が「匿名化のために信じられないほど高い基準を設定することを避けるつもりである」という立場と一致している。(専門家への諮問の詳細については、このレイサム・アンド・ワトキンス法律事務所の ブログ記事“UK Data Protection Reform: Examining the Road Ahead” を参照されたい。 【筆者補足説明】 １．わが国では本格的に論じられていない問題として匿名化、仮名化などとプライバシー強化にかかる技術面からの検証である。2021.11.17  BRISTOWS法律事務所「データの匿名化:ICOの改訂ガイダンスに関する考慮事項」 が簡潔にまとめているので、主要部を抜粋、仮訳する。 ...
コメントを投稿
続きを読む